Exchange Ranking
Top Exchanges
24h Volume Ranking
Popularity Ranking
Exchange BTC Balance
Proof of Reserves
Decentralized Exchanges
Funding Rate
Funding Heatmap
Liquidation Data
Max Pain
Long/Short Ratio
Whale L/S Ratio
Binance/Okex/Huobi L/S
Bitfinex Margin L/S
ETF Tracker
Solana ETF
XRP ETF
Hong Kong ETF
Bitcoin Treasuries
Crypto Reversal
Ethereum Reserves
HyperLiquid Wallet Analysis
Hyperliquid Whale Watch
Large Transactions
On-chain Movement
Bitcoin ROI
Stablecoin Market Cap
Options Analysis
News
Articles
Economic Calendar
Features
Wallet
Contract Calculator
Security
Collections
Watchlist
Following
BTC ACINQ 发布 Eclair v0.14.4：重点修复浏览器伪造命令漏洞
ACINQ 已发布 Eclair v0.14.4，这是对其比特币闪电网络（Lightning Network）节点实现的一项以安全为重点的更新。该版本旨在阻止经过伪造的浏览器命令，防止恶意网页通过项目的应用程序接口（API）向正在运行的闪电网络节点发送指令。
核心安全问题：跨站请求伪造
此次发布解决的核心问题是 API 层的跨站请求伪造（CSRF）风险。构造不良的网页可以向本地可访问的 Eclair API 端点发送命令，从而在运营商不知情的情况下有效控制节点。这种暴露被视为针对节点控制界面的浏览器发起的攻击路径。
Eclair 作为闪电网络的参考节点实现之一，其 API 被运营商、应用程序开发人员以及基于闪电网络构建系统的集成商广泛使用。理论上，如果伪造的浏览器命令能够触及该 API，可能会在未获得运营商明确批准的情况下触发通道操作或资金转移。
安全边界的强化
v0.14.4 版本加强了浏览器上下文请求与合法 API 调用之间的隔离。通过阻止源自未授权访问 API 的浏览器环境的命令，该版本关闭了一条潜在的攻击路径：即当运营商运行 Eclair 节点时，访问不受信任的网站可能导致节点遭受外部命令注入。
具体的执行机制细节可见于 GitHub 上的官方 v0.14.4 发布说明。这延续了 Eclair 版本历史中逐步加固的模式。此前的工作解决了费用计算的边缘情况，而本轮更新则针对 API 的信任边界。对于在非回环接口上公开其 Eclair API 的运营商而言，此类问题的风险要高于仅在本地严格运行的运营商。
运营商升级后的操作步骤
拥有面向浏览器的 Eclair API 集成的节点运营商和开发人员，应在进行生产环境更改之前，审查其部署的版本是否符合 v0.14.4 发布要求，并查阅官方发布说明。ACINQ 对其发布的版本进行了签名；项目提供了 PGP 验证材料，供运营商在部署前确认二进制文件的完整性。
构建与 Eclair 后端通信的 Web 界面的应用程序开发人员，应审计前端如何构建和验证 API 请求，因为此次更新改变了节点评估传入命令来源的方式。请遵循 ACINQ 的项目指南，以获取针对特定集成模式的迁移步骤。
